España confía en su ciberresiliencia, pero el 46% de las empresas admite que su presupuesto es insuficiente

El informe “Unlock the Resilience Factor: Why Resilient by Design is the Next Cyber Security Imperative”, presentado por Zscaler, analiza la creciente importancia de la ciberresiliencia en un entorno donde los ciberataques son cada vez más sofisticados y frecuentes. La digitalización acelerada, la dispersión de la fuerza laboral, la complejidad de las infraestructuras heredadas y el avance de la inteligencia artificial han incrementado la presión sobre las empresas, que deben asumir que los incidentes de seguridad son inevitables y prepararse para minimizar su impacto.

Para evaluar el nivel de preparación de las organizaciones, Zscaler ha encargado la elaboración de este estudio a la consultora Sapio Research, que encuestó en diciembre de 2024 a 1.700 profesionales de TI en 12 países, incluyendo España, EE.UU., Alemania, Francia, Reino Unido, India y Japón. Durante la presentación, Pablo Vera, Country Manager de Zscaler Iberia, y Marcos Jimena, Solution Architect en Zscaler, expusieron los hallazgos clave del estudio y destacaron la necesidad de un enfoque más estratégico en la resiliencia cibernética.

Resiliencia puesta a prueba

Los resultados muestran una realidad preocupante: el 45% de las empresas a nivel global sufrió un fallo grave de seguridad en los últimos seis meses, y el 60% espera sufrir uno en los próximos 12 meses. En el caso de España, las cifras son ligeramente inferiores a la media global, aunque siguen siendo alarmantes. El 41% de las organizaciones en el país reportó un incidente grave en el último semestre, mientras que el 37% anticipa un fallo significativo en los próximos seis meses. Estos datos reflejan que, aunque España parece haber experimentado menos incidentes recientes que otros países, la expectativa de sufrir ataques en el futuro sigue siendo alta.

A pesar de este panorama, la confianza en la resiliencia sigue siendo fuerte tanto a nivel global como en España. A nivel mundial, el 92% de los líderes de TI cree que su infraestructura es resiliente, mientras que en España el 96% considera que sus medidas de resiliencia son efectivas, lo que coloca al país entre los cinco con mayor confianza en sus capacidades, solo superado por Australia, Alemania, India y Singapur.

Sin embargo, esta percepción optimista contrasta con la falta de medidas actualizadas: solo el 45% de los líderes de TI a nivel global afirma que su estrategia de resiliencia está actualizada para hacer frente a las amenazas emergentes de la inteligencia artificial, mientras que en España el porcentaje es del 51%, apenas un 2% por encima de EE.UU.

Barreras para la ciberresiliencia

El informe identifica tres grandes barreras para la ciberresiliencia. A nivel global, el 43% de los encuestados señala la complejidad de las infraestructuras de TI y seguridad como el mayor obstáculo, seguido por la dependencia de sistemas heredados (34%) y la falta de recursos y habilidades especializadas (29%). En España, el 46% de los responsables de TI considera que los presupuestos asignados a la ciberresiliencia no están a la altura de las necesidades actuales, lo que refuerza la idea de que, aunque las empresas confían en sus estrategias, no siempre destinan los recursos suficientes para fortalecerlas.

Otro de los problemas destacados es el énfasis excesivo en la prevención, en detrimento de la respuesta y la recuperación. A nivel global, el 43% de las estrategias de seguridad se enfocan en prevenir ataques, mientras que solo el 29% se centra en la respuesta y el 28% en la recuperación. Además, el 60% de los líderes de TI cree que su organización prioriza demasiado la prevención, lo que podría generar vulnerabilidades en caso de un ataque exitoso. En términos de estrategias avanzadas, solo el 39% de las empresas en España utiliza herramientas de búsqueda proactiva de riesgos (risk hunting), frente al 44% a nivel global, lo que indica un margen de mejora en la adopción de enfoques más proactivos para la contención de amenazas.

En este sentido, Pablo Vera, Country Manager de España y Portugal de Zscaler, ha apuntado: “La mitad de los directivos españoles de TI (50% en España frente al 60% global) cree que su empresa prioriza en exceso la prevención, con un desglose que muestra que más del 43% de las estrategias y presupuestos de ciberseguridad, tanto en España como a nivel global, están enfocados en la prevención, en detrimento de la respuesta y la recuperación. Esto sugiere que la mayoría de las organizaciones no están preparadas para gestionar un incidente si se produjera un fallo y tendrían dificultades para recuperar las operaciones empresariales con la rapidez necesaria”.

Por su parte, Marcos Jimena, arquitecto de transformación en la región del sur de Europa de Zscaler, ha añadido: “Con el creciente panorama de amenazas, que incluye ataques basados en IA, y la presión continua por digitalizarse, que no parece disminuir en el corto plazo, nuestras superficies de ataque siguen expandiéndose más allá de nuestro control. Una estrategia de resiliencia sólida y proactiva garantiza una base que no se derrumbará incluso ante un ataque exitoso y que podrá remediarse más rápidamente. Las organizaciones necesitan transformar su arquitectura de red y seguridad y adoptar un enfoque de zero trust ‘Resilient by Design’ para afrontar los peligros de un futuro digital”.

Resiliente por Diseño

Para abordar estos desafíos, Zscaler propone un enfoque denominado “Resilient by Design”, que busca integrar la ciberresiliencia como un principio fundamental dentro de la estrategia de seguridad desde el inicio. Este modelo se basa en tres pasos clave: reducir la complejidad de las infraestructuras eliminando soluciones redundantes, reconfigurar los sistemas para incluir redundancias y migrar a la nube, y adoptar una mentalidad proactiva que priorice la detección y contención de amenazas en lugar de centrarse exclusivamente en la prevención.

El informe concluye que, aunque el 82% de los líderes de TI considera que la ciberresiliencia será aún más importante en los próximos 12 meses, es fundamental cerrar la brecha entre percepción y acción. A pesar del alto nivel de confianza en la resiliencia, solo el 36% de las empresas ha integrado su estrategia de ciberresiliencia dentro de su plan general de continuidad del negocio, lo que demuestra que aún no se le otorga la prioridad necesaria. Para que las organizaciones puedan enfrentar futuros incidentes con éxito, es imprescindible que inviertan en resiliencia de manera estratégica, adopten tecnologías avanzadas y refuercen su capacidad de respuesta y recuperación ante ciberataques.